Trage SSH connect

[Paul van der Vlis]

Hallo,

Als ik connect met een machine via SSH dan duurt het altijd 10 seconden
voordat ik wat terug hoor, heel irritant.

Nu heeft het IP van die machine geen naam via reversed DNS, zal het
daardoor komen?

(Als ik de machine in mijn /etc/hosts opneem gaat het wel snel.)

Met vriendelijke groet,
Paul van der Vlis.

[richard lucassen]

On Wed, 19 Nov 2008 17:27:34 +0100

Post by Paul van der Vlis
Als ik connect met een machine via SSH dan duurt het altijd 10
seconden voordat ik wat terug hoor, heel irritant.
Nu heeft het IP van die machine geen naam via reversed DNS, zal het
daardoor komen?

Ik denk het

Post by Paul van der Vlis
(Als ik de machine in mijn /etc/hosts opneem gaat het wel snel.)

Er zit in /etc/ssh/sshd_config een optie voor:

UseDNS

Specifies whether sshd(8) should look up the remote host name
and check that the resolved host name for the remote IP address maps
back to the very same IP address. The default is "yes".
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Burg]

Post by richard lucassen
UseDNS

Aha, die zocht ik al geruime tijd. En die werkt! Ik heb de man sshd helemaal
gelezen maar deze optie heb ik nog nooit gezien. Aha, nu zie ik het, het
staat in mijn oorspronkelijke sshd_config. Thanks!

[Henri Karrenbeld]

Post by Burg

Post by richard lucassen
UseDNS

Aha, die zocht ik al geruime tijd. En die werkt! Ik heb de man sshd helemaal
gelezen maar deze optie heb ik nog nooit gezien. Aha, nu zie ik het, het
staat in mijn oorspronkelijke sshd_config. Thanks!

Bij mij staat het gewoon in 'man sshd_config'

$) H

[Paul van der Vlis]

Post by richard lucassen
On Wed, 19 Nov 2008 17:27:34 +0100

Post by Paul van der Vlis
Als ik connect met een machine via SSH dan duurt het altijd 10
seconden voordat ik wat terug hoor, heel irritant.
Nu heeft het IP van die machine geen naam via reversed DNS, zal het
daardoor komen?

Ik denk het

Post by Paul van der Vlis
(Als ik de machine in mijn /etc/hosts opneem gaat het wel snel.)

UseDNS
Specifies whether sshd(8) should look up the remote host name
and check that the resolved host name for the remote IP address maps
back to the very same IP address. The default is "yes".

Ondanks de resultaten bij Burg helpt het bij mij niet.

Met vriendelijke groet,
Paul van der Vlis.

[richard lucassen]

On Thu, 20 Nov 2008 09:25:46 +0100

Post by Paul van der Vlis

Post by richard lucassen
UseDNS
Specifies whether sshd(8) should look up the remote host name
and check that the resolved host name for the remote IP address maps
back to the very same IP address. The default is "yes".

Ondanks de resultaten bij Burg helpt het bij mij niet.

Vreemd. Maar ik heb overal een walldns lopen op rfc1918 adressen en op
m'n eigen adressen waar ik meestal vandaan kom en ik heb er never
nooit (meer) last van:

Op rfc1918:
host 10.22.33.44
Name: 44.33.22.10.in-addr.arpa
Address: 10.22.33.44

Buiten op het internet:
host 92.68.12.178
Name: utr1.xaq.nl
Address: 92.68.12.178

Maar bij een server die ik beheer:
host 92.68.12.178
Name: 178.12.68.92.in-addr.arpa
Address: 92.68.12.178

Meteen antwoord van de lokale walldns, geen gezoek op het internet. Maar
misschien zit daar je pijn, want stel jij komt vanaf 1.2.3.4, dan gaat
ssh de ptr opzoeken van 4.3.2.1.in-addr.arpa en dat duurt ff. Dus vertel
de server die je beheert hoe 1.2.3.4 heet.

Maar een "UseDNS = no" en een herstart van ssh zou ook moeten werken
imho. Je kunt het controleren door in te loggen, dan zegt hij het
vanzelf:

ssh ***@host-zonder-walldns
Last login: Thu Nov 20 09:59:51 2008 from utr1.xaq.nl

(dat duurt altijd ff als het nog niet gecached is)

ssh ***@host-met-walldns
Last login: Wed Nov 19 20:54:44 2008 from 178.12.68.92.in-addr.arpa

(hier loop ik meteen naar binnen)
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Paul van der Vlis]

Post by richard lucassen
On Thu, 20 Nov 2008 09:25:46 +0100

Post by Paul van der Vlis

Post by richard lucassen
UseDNS
Specifies whether sshd(8) should look up the remote host name
and check that the resolved host name for the remote IP address maps
back to the very same IP address. The default is "yes".

Ondanks de resultaten bij Burg helpt het bij mij niet.

Vreemd. Maar ik heb overal een walldns lopen op rfc1918 adressen en op
m'n eigen adressen waar ik meestal vandaan kom en ik heb er never
host 10.22.33.44
Name: 44.33.22.10.in-addr.arpa
Address: 10.22.33.44
host 92.68.12.178
Name: utr1.xaq.nl
Address: 92.68.12.178
host 92.68.12.178
Name: 178.12.68.92.in-addr.arpa
Address: 92.68.12.178
Meteen antwoord van de lokale walldns, geen gezoek op het internet. Maar
misschien zit daar je pijn, want stel jij komt vanaf 1.2.3.4, dan gaat
ssh de ptr opzoeken van 4.3.2.1.in-addr.arpa en dat duurt ff. Dus vertel
de server die je beheert hoe 1.2.3.4 heet.

Mijn eigen IP is reversed wel OK.
Toch even geprobeerd, maar het helpt niet.

Als ik mijn eigen /etc/hosts aanpas helpt dat wel. Maar dat wou ik
eigenlijk liever niet, want dan gaat het mis als een IP wijzigt o.i.d.

Post by richard lucassen
Maar een "UseDNS = no" en een herstart van ssh zou ook moeten werken
imho. Je kunt het controleren door in te loggen, dan zegt hij het
Last login: Thu Nov 20 09:59:51 2008 from utr1.xaq.nl
(dat duurt altijd ff als het nog niet gecached is)
Last login: Wed Nov 19 20:54:44 2008 from 178.12.68.92.in-addr.arpa
(hier loop ik meteen naar binnen)

Met vriendelijke groet,
Paul van der Vlis.

[richard lucassen]

On Mon, 24 Nov 2008 11:20:05 +0100

Post by Paul van der Vlis
Mijn eigen IP is reversed wel OK.
Toch even geprobeerd, maar het helpt niet.

Ook als die niet gecached is? Want daarom duurt het zo lang. Eerst
de ns van arpa opzoeken, dan in-addr , dan het domein 4, dan het domein
3, dan het domein 2 en vervolgens de entry 1 opvragen. Duurt ff:

time host 92.68.12.178
Name: utr1.xaq.nl
Address: 92.68.12.178


real 0m10.030s
user 0m0.000s
sys 0m0.008s

Nu als-ie gecached is:

time host 92.68.12.178
Name: utr1.xaq.nl
Address: 92.68.12.178


real 0m0.005s
user 0m0.000s
sys 0m0.004s

Scheelt ruim 10 seconden ;-)

Post by Paul van der Vlis
Als ik mijn eigen /etc/hosts aanpas helpt dat wel. Maar dat wou ik
eigenlijk liever niet, want dan gaat het mis als een IP wijzigt o.i.d.

En als die gecached is? Draai je wel een caching ns?
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Paul van der Vlis]

Post by richard lucassen
On Mon, 24 Nov 2008 11:20:05 +0100

Post by Paul van der Vlis
Mijn eigen IP is reversed wel OK.
Toch even geprobeerd, maar het helpt niet.

Ook als die niet gecached is? Want daarom duurt het zo lang. Eerst
de ns van arpa opzoeken, dan in-addr , dan het domein 4, dan het domein
time host 92.68.12.178
Name: utr1.xaq.nl
Address: 92.68.12.178
real 0m10.030s
user 0m0.000s
sys 0m0.008s
time host 92.68.12.178
Name: utr1.xaq.nl
Address: 92.68.12.178
real 0m0.005s
user 0m0.000s
sys 0m0.004s
Scheelt ruim 10 seconden ;-)

Post by Paul van der Vlis
Als ik mijn eigen /etc/hosts aanpas helpt dat wel. Maar dat wou ik
eigenlijk liever niet, want dan gaat het mis als een IP wijzigt o.i.d.

En als die gecached is? Draai je wel een caching ns?

Ik draai bind9, of hij cached weet ik eigenlijk niet. Maar als ik een
nslookup doe van die machine of ik ping naar die machine, dan gaat het
wel snel. SSH dus niet.

Nog even verder gezocht. Laatst had de machine geen reversed-DNS-naam,
maar nu opeens wel. Maar aan die reversed-DNS-naam is geen IP gekoppeld.
Dat zal het zijn.

Met vriendelijke groet,
Paul van der Vlis.

[richard lucassen]

On Mon, 24 Nov 2008 20:39:44 +0100

Post by Paul van der Vlis

Post by richard lucassen
En als die gecached is? Draai je wel een caching ns?

Ik draai bind9, of hij cached weet ik eigenlijk niet. Maar als ik een
nslookup doe van die machine of ik ping naar die machine, dan gaat het
wel snel. SSH dus niet.

strace?

Post by Paul van der Vlis
Nog even verder gezocht. Laatst had de machine geen
reversed-DNS-naam, maar nu opeens wel. Maar aan die reversed-DNS-naam
is geen IP gekoppeld. Dat zal het zijn.

Dat maakt volgens mij niet uit. Ssh wil weten wie er laatst ingelogd is,
niet of die naam weer resolve't naar een ip-adres...
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Koos van den Hout]

Post by Paul van der Vlis
Als ik connect met een machine via SSH dan duurt het altijd 10 seconden
voordat ik wat terug hoor, heel irritant.

Is dat bij de 2e connect kort erna ook nog?

Post by Paul van der Vlis
Nu heeft het IP van die machine geen naam via reversed DNS, zal het
daardoor komen?
(Als ik de machine in mijn /etc/hosts opneem gaat het wel snel.)

Er was iets met sommige versies sshd die meer entropie gingen zoeken voor
hun random getallen door oa de uitvoer van 'netstat' mee te nemen, en dat
is op een machine in een rfc1918 netwerk met een resolver die dat niet
afvangt inderdaad wachten.

Koos

[Paul van der Vlis]

Post by Koos van den Hout

Post by Paul van der Vlis
Als ik connect met een machine via SSH dan duurt het altijd 10 seconden
voordat ik wat terug hoor, heel irritant.

Is dat bij de 2e connect kort erna ook nog?

Ja, dat duurt even lang.

Post by Koos van den Hout

Post by Paul van der Vlis
Nu heeft het IP van die machine geen naam via reversed DNS, zal het
daardoor komen?
(Als ik de machine in mijn /etc/hosts opneem gaat het wel snel.)

Er was iets met sommige versies sshd die meer entropie gingen zoeken voor
hun random getallen door oa de uitvoer van 'netstat' mee te nemen, en dat
is op een machine in een rfc1918 netwerk met een resolver die dat niet
afvangt inderdaad wachten.

Hmmm. Weet iemand of daar iets tegen te doen is?

Ik gebruik overigens aan beide kanten deze versie:
OpenSSH_4.3p2 Debian-9etch3, OpenSSL 0.9.8c 05 Sep 2006

Met vriendelijke groet,
Paul van der Vlis.